Cette décision porte sur la conservation des comptes de messagerie d'anciens salariés à des fins de défense en justice, et plus particulièrement sur l'absence d'information spécifique des personnes concernées et de mise en place de messages de réponse automatique.

Faits et contexte

L'autorité italienne de protection des données (GPDP) a publié une décision à l'encontre de Michael Page International Italia s.r.l. pour des manquements liés à la gestion des comptes de messagerie d'anciens salariés après la fin de leur contrat de travail.

L'affaire trouve son origine dans trois plaintes déposées par d'anciens salariés qui reprochaient à la société de maintenir leurs comptes de messagerie actifs après leur départ, sans les en avoir informés, et demandaient leur suppression.

Motifs de la décision

La société a justifié le maintien des comptes de messagerie, après leur désactivation, par la nécessité de collecter des preuves dans le cadre de procédures judiciaires pour concurrence déloyale et soustraction de secrets commerciaux à l'encontre des plaignants et de leur nouvel employeur. Elle a invoqué son intérêt légitime à défendre ses droits en justice, conformément à l'article 6, paragraphe 1, point f) du RGPD, et a soutenu que cette possibilité était prévue dans la note d'information remise aux salariés et dans le règlement interne sur l'usage des systèmes informatiques. L'autorité a néanmoins retenu plusieurs manquements :

• Obligation de licéité, de loyauté et de transparence (article 5, paragraphe 1, point a) du RGPD) : L'autorité a estimé que le traitement était illicite et déloyal, car la société n'a pas mis en place de message de réponse automatique informant les tiers de la cessation d'activité du salarié. La société a délibérément omis cette mesure pour ne pas alerter les anciens salariés sur la collecte de preuves, ce qui a été jugé comme un contournement des principes de protection des données au détriment des droits et libertés des personnes concernées.

• Obligation d'information (article 13 du RGPD) : L'autorité a considéré que la note d'information fournie aux salariés était insuffisante. Bien qu'elle mentionnait la possibilité de traiter les données pour la défense des droits en justice, elle ne précisait pas les modalités spécifiques de conservation et de consultation de la messagerie après la fin du contrat de travail, ni les durées de conservation applicables dans ce contexte, manquant ainsi à son devoir de transparence.

Décision de l'autorité

En conséquence, l'autorité a imposé une amende de 40 000 € à Michael Page International Italia s.r.l.

En outre, l'autorité a ordonné à la société de définir des durées de conservation distinctes pour les données des messageries des anciens salariés conservées à des fins de défense en justice et de mettre à jour sa note d'information pour les salariés afin d'y inclure des détails précis sur ces traitements post-contractuels.

Enseignements

Cette décision rappelle que :

• La conservation de la messagerie d'un ancien salarié pour défendre ses droits en justice doit être spécifiquement prévue et détaillée dans la politique d'information destinée aux employés, y compris les durées de conservation.

• L'absence délibérée d'un message de réponse automatique sur la messagerie d'un salarié parti, dans le but de collecter des preuves à son insu, constitue un traitement déloyal et illicite.

• L'intérêt légitime d'un employeur à se défendre en justice ne saurait justifier de déroger aux principes fondamentaux de transparence et de loyauté du traitement des données personnelles.